Die Ziele der Informationssicherheit

Die Informationssicherheit folgt drei übergeordneten Grundsätzen:

• Vertraulichkeit: Dateien dürfen nur von Personen gesehen oder genutzt werden, die für den Zugriff berechtigt sind.
• Integrität: Änderungen an den Informationen durch einen nicht autorisierten Benutzer müssen entweder unmöglich sein oder zumindest erkannt werden. Änderungen durch autorisierte Benutzer sollen nachverfolgt werden können.
• Verfügbarkeit: Sobald autorisierte Benutzer Informationen benötigen, müssen sie auch auf die Daten zugreifen können.

Ausgerüstet mit diesen übergeordneten Prinzipien haben IT-Sicherheitsspezialisten Best Practices für Unternehmen entwickelt. Diese bewährten Methoden sollen verschiedenste Firmen dabei unterstützen, die Sicherheit ihrer Informationen zu gewährleisten.

Best Practices für die IT-Sicherheit

Es gibt zahlreiche Best Practices innerhalb der IT-Sicherheit, die auf bestimmte Branchen oder Unternehmen zugeschnitten sind, einige gelten jedoch allgemein.

1. Ausgewogener Schutz

Computer in einem Büro könnten vollständig geschützt werden, wenn alle Modems herausgerissen und aus dem Raum geworfen würden – aber dann wären sie für niemanden mehr von Nutzen. Eine der größten Herausforderungen bei der IT-Sicherheit besteht darin, ein Gleichgewicht zwischen Ressourcenverfügbarkeit und der Vertraulichkeit sowie der Integrität der Ressourcen zu finden.

Anstatt zu versuchen, sich vor allen Arten von Bedrohungen zu schützen, konzentrieren sich die meisten IT-Abteilungen darauf, zuerst die wichtigsten Systeme zu isolieren. Im nächsten Schritt werden dann akzeptable Wege gefunden, um den Rest zu schützen, ohne die Hardware unbrauchbar zu machen. Systeme mit niedrigerer Priorität können beispielsweise Kandidaten für eine automatisierte Analyse sein, sodass die wichtigsten Systeme weiterhin im Mittelpunkt stehen.

2. Benutzer und Ressourcen aufteilen

Damit ein Informationssicherheitssystem funktioniert, muss es wissen, wer bestimmte Dinge sehen und tun darf. Jemand in der Buchhaltung muss beispielsweise nicht alle Namen in einer Kundendatenbank sehen, aber er braucht möglicherweise die Zahlen aus dem Verkauf. Dies bedeutet, dass ein Systemadministrator den Zugriff nach Jobtyp einer Person zuweisen und diese Grenzwerte entsprechend der organisatorischen Trennung weiter verfeinern muss. Dies stellt sicher, dass der Chief Financial Officer im Idealfall auf mehr Daten und Ressourcen zugreifen kann als ein Junior Accountant. Der Rang garantiert jedoch nicht den vollständigen Zugriff. Der CEO eines Unternehmens braucht eventuell mehr Daten als seine Kollegen, muss jedoch nicht automatisch uneingeschränkt auf das System zugreifen können. Dies bringt uns zum nächsten Punkt.

3. Mindestberechtigungen zuweisen

Jedem Mitarbeiter sollten die Mindestrechte zugewiesen werden, die er zur Wahrnehmung seiner Aufgaben benötigt. Wenn sich die Verantwortlichkeiten einer Person ändern, verschieben sich auch die Berechtigungen. Das Zuweisen von Mindestberechtigungen verringert die Wahrscheinlichkeit, dass Joe vom Design mit allen Marketingdaten aus der Tür geht.

4. Unabhängige Abwehr

Dies ist sowohl ein bekanntes militärisches als auch ein IT-Prinzip. Die Verwendung einer wirklich guten Verteidigung wie Authentifizierungsprotokollen ist nur dann sinnvoll, wenn jemand dagegen verstößt. Wenn mehrere unabhängige Verteidigungen eingesetzt werden, muss ein Angreifer verschiedene Strategien anwenden, um diese zu überwinden. Die Einführung dieser Art von Komplexität bietet keinen hundertprozentigen Schutz vor Hackern, verringert jedoch die Wahrscheinlichkeit eines erfolgreichen Angriffs.

5. Ausfälle einplanen

Wenn Unternehmen Ausfälle einplanen, können sie die tatsächlichen Konsequenzen für den Fall minimieren. Durch die Einrichtung von Backup-Systemen im Vorfeld kann die IT-Abteilung die Sicherheitsmaßnahmen ständig überwachen und schnell auf Sicherheitslücken reagieren. Ist der Verstoß nicht schwerwiegend, kann das Unternehmen die Sicherung fortsetzen, während das Problem behoben wird. Bei der IT-Sicherheit geht es also nicht nur darum, den Schaden durch Sicherheitsverletzungen zu begrenzen, sondern ihn auch zu verhindern.

6. Protokollieren

Im Idealfall wird ein Sicherheitssystem niemals verletzt. Wenn jedoch ein Sicherheitsverstoß auftritt, sollte das Ereignis aufgezeichnet werden. Tatsächlich zeichnen IT-Mitarbeiter in der Regel sehr viel auf, auch wenn kein Verstoß vorliegt. Manchmal sind die Ursachen von Verstößen nachträglich nicht erkennbar. Daher ist es wichtig, Daten zu haben, die rückwärts verfolgt werden können. Informationen von Sicherheitsverletzungen können dazu beitragen, das System zu verbessern und zukünftige Angriffe zu verhindern.

7. Häufige Tests

Hacker verbessern ständig ihr Handwerk, was bedeutet, dass die Informationssicherheit Schritt halten muss. IT-Experten kümmern sich dabei nicht nur um Tests, sondern führen auch Risikobewertungen durch, lesen den Disaster Recovery-Plan erneut, überprüfen den Business Continuity-Plan im Falle eines Angriffs und wiederholen diesen.

Fazit

IT-Sicherheit ist eine herausfordernde Aufgabe, bei der gleichzeitig die Aufmerksamkeit für Details und ein neues Level der Wahrnehmung gefragt sind. Wie viele auf den ersten Blick komplexe Aufgaben kann auch die IT-Sicherheit in grundlegende Schritte unterteilt werden, die den Prozess wesentlich vereinfachen können.

Der Beitrag Die 7 Grundprinzipien der IT-Sicherheit erschien zuerst auf e-startup.de.

1. WinRAR Bug ist neu und gefährlich

WinRAR ist ein beliebtes Programm, das komprimierte Dateien extrahiert. Es ist schon seit Jahren auf dem Markt und hatte die ganze Zeit eine versteckte Fehlerquelle. Angreifer können komprimierte Dateien so entwickeln, dass sie Malware ohne Vorwarnung direkt auf das Windows-Betriebssystem extrahieren. Eine Vielzahl von Schadprogrammen nutzt diese neu entdeckte Sicherheitsanfälligkeit aus. Wenn Sie also WinRAR nutzen, sollten Sie es sofort patchen.

Hinweis: WinRAR wird nicht automatisch gepatcht – Sie müssen Ihre Software manuell aktualisieren, um sicher zu sein.

2. Gefälschte Asus-Updates

Der Computerhersteller Asus gab kürzlich bekannt, dass seine Update-Software an der Quelle verletzt wurde. Eines der neuesten kritischen Sicherheitsupdates für die Computer – das vom Unternehmen selbst gepusht wurde – enthielt also heimlich Malware. Diese Malware wurde an über eine Million Menschen verteilt, scheint aber nur 600 bestimmte Ziele zu verfolgen. Wenn Sie glauben, dass Ihr Computer von der als ShadowHammer bekannten Malware betroffen ist, sollten Sie Ihr Gerät auf der Asus-Website überprüfen lassen.

3. Neue Android-Malware belastet das Bankkonto

Ende letzten Jahres wurde auf Android-Geräten eine neue Art von Banking-Malware entdeckt. Diese als Gustuff bekannte Malware kann automatisch in installierte Bank- und Kryptowährung-Apps eindringen und Gelder stehlen. Entscheidend ist, dass sich diese Anwendung verbreitet, indem es seinen Opfern eine SMS sendet. Klicken Sie nicht auf Links in ungewöhnlichen SMS-Nachrichten!

4. NVIDIA aktualisiert seine Grafikverwaltungssoftware

Gerade wenn Sie einen Gamer-Computer besitzen, haben Sie höchstwahrscheinlich auch eine NVIDIA-Grafikkarte. Die Verwaltungssoftware, die diese Grafikkarten steuert, hat erst kürzlich entdeckt, dass sie anfällig für einen kritischen Fehler ist. Aufgrund dieser Schwachstelle können Hacker willkürlich auf den Computer ihres Opfers zugreifen. Für diese Sicherheitslücke ist jedoch noch kein Exploit aufgetreten. Es ist trotzdem wichtig, dass Sie Ihre Grafikkartentreiber so schnell wie möglich patchen – für alle Fälle.

5. KMUs sind einfache Ziele für Ransomware

Eine neue Umfrage der Firma BBR zeigt, dass 70 Prozent der Ransomware-Angriffe auf kleine und mittlere Unternehmen abzielen. Diese Firmen sind lukrative Ziele, weil sie oft nicht genug Zeit oder Geld haben, um ihre Computer zu sichern und daher mit viel größerer Wahrscheinlichkeit ein Lösegeld zahlen. Wenn Sie in einem kleinen Unternehmen arbeiten oder dessen Informationstechnologie verwalten, sollten Sie 2020 besonders aufpassen.

6. Über Facebook gespeicherte Passwörter im Klartext

Keine Malware, aber auf jeden Fall lückenhaft. Aufgrund eines internen Fehlers hat Facebook Millionen Passwörter – sowohl für Facebook- als auch für Instagram-Nutzer – im Klartext gespeichert. Mit anderen Worten, wenn es jemals einen Angriff auf diesen Bereich von Facebook gegeben hätte, wären Hacker in der Lage gewesen, sofort Konten zu stehlen. Ebenso hätte jeder böswillige Threat in Facebook selbst freie Hand gehabt. Wenn Ihr Passwort auf diese Weise gespeichert wurde, werden Sie vom Unternehmen benachrichtigt – und Sie sollten Ihr Passwort sofort davon ändern.

7. 32,7 Millionen IoT-Angriffe

IoT-Geräte werden immer beliebter, ihre Steuerung ist jedoch leicht zu missbrauchen. Viele haben keine eingebauten Firewalls und lassen die Standardbenutzernamen und -kennwörter nicht ändern. Dies hat zu einem Anstieg der Angriffe auf IoT-Geräte um 217,5 Prozent seit 2017 geführt. Im Allgemeinen sind diese Angriffe darauf ausgelegt, Schwärme ferngesteuerter Bots zu erzeugen, die gezielte DDoS-Angriffe ausführen können. Diese Attacken sollen Teile des Internets zum Erliegen bringen. Wenn Sie ein IoT-Gerät besitzen oder in Zukunft erwerben möchten, vergewissern Sie sich beim Hersteller, dass es wirklich sicher ist.

8. Neue Sicherheitslücke in TP-Link Smart-Home-Routern

Wenn Sie zufällig einen TP-Link SR20-Router besitzen, sollten Sie ihn ersetzen. Dies liegt daran, dass die Entwickler von Google kürzlich bekannt gegeben haben, dass diese Router-Marke von einer besonders komplizierten Sicherheitslücke betroffen ist. Angreifern ist es so möglich, die Kontrolle über den Router zu übernehmen. Google hat diese Problemstelle der Öffentlichkeit gemeldet, da die Sicherheitslücke erst vor über 90 Tagen dem Hersteller privat angekündigt wurde – ohne Antwort und ohne offensichtliche Pläne, eine Fehlerbehebung vorzunehmen. Mit anderen Worten, es sieht so aus, als würde TP-Link seinen Router einfach kaputt machen.

9. Industrielle Systeme enthalten kritische Schwachstellen

Diese Nachricht wirkt sich nicht auf Ihren PC aus, könnte jedoch eines Tages Strom, Wasser und Abwasser beeinflussen. Eine neue Umfrage zeigt, dass 20 Prozent der industriellen Steuerungssysteme – die Computer, die im Wesentlichen den Betrieb Ihrer Dienstprogramme steuern – für Malware anfällig sind. Der Bericht zeigt, dass die Sicherheitsanfälligkeiten besonders schwerwiegend sind und es Angreifern mitunter ermöglichen, die Computer remote zu steuern. Herkömmliche Dienstprogramme können diese Angriffe entweder nicht beheben oder erkennen sie nicht.

Der Beitrag Die 9 gefährlichsten Sicherheitslücken und Malwareattacken 2020 erschien zuerst auf e-startup.de.